Anforderungen an Administratorkonten für Cyber Essentials im Vereinigten Königreich
17. August 2026
Erfahren Sie die genauen Regeln für Administratorkonten bei Cyber Essentials im Jahr 2026. Wir behandeln Trennung, Passwörter, MFA und die Vermeidung häufiger Fehler bei der Bewertung.
Warum Administratorkonten eine zentrale Cyber-Essentials-Kontrolle darstellen
Im Cyber-Essentials-System ist die Verwaltung privilegierter Administratorkonten eine zentrale Sicherheitskontrolle. Dies liegt daran, dass Angreifer häufig Administratorkonten ins Visier nehmen, um die volle Kontrolle über Ihre Systeme zu erlangen, Sicherheitssoftware zu deaktivieren und sensible Daten zu stehlen. Das britische National Cyber Security Centre (NCSC) weist wiederholt darauf hin, dass die Kompromittierung von Administratorkonten ein Hauptweg in Unternehmensnetzwerke ist. Cyber Essentials wurde entwickelt, um diesem Problem zu begegnen, indem Organisationen dazu verpflichtet werden, grundlegende, aber wirksame Maßnahmen umzusetzen. Indem Sie einschränken, wer Administratorrechte besitzt und wie diese Rechte genutzt werden, reduzieren Sie die Auswirkungen erfolgreicher Phishing-Angriffe oder Passwort-Leaks erheblich. Für britische Unternehmen, die eine Zertifizierung anstreben, ist der Nachweis einer ordnungsgemäßen Verwaltung von Administratorkonten nicht verhandelbar und stellt einen der am strengsten geprüften Bereiche im Rahmen der Bewertung dar.
Die Kernregel: Admin-Konten vom täglichen Gebrauch trennen
Die grundlegende Anforderung besteht darin, dass Administratorkonten von den Konten getrennt sein müssen, die Sie für die tägliche Arbeit verwenden. Das bedeutet, dass Ihr tägliches Benutzerkonto keine Administratorrechte haben sollte und Ihr Administratorkonto nicht für E-Mails, Webbrowsing oder allgemeine Produktivitätsaufgaben genutzt werden sollte. Warum? Weil ein Angreifer Administratorrechte erbt, wenn ein Administratorkonto auf einen bösartigen Link oder Anhang zugreift. Im Rahmen von Cyber Essentials müssen Sie pro Admin-Benutzer mindestens ein separates Konto mit erweiterten Rechten unterhalten, und dieses Konto darf nur für Verwaltungsaufgaben wie die Installation von Software, die Verwaltung von Benutzern oder die Änderung von Systemeinstellungen verwendet werden. Diese Trennung reduziert die Wahrscheinlichkeit, dass Malware erweiterte Zugriffsrechte erlangt, erheblich. Sie stellt außerdem sicher, dass eine Kompromittierung Ihres Standardkontos nicht sofort zur vollständigen Kontrolle über das Netzwerk führt.
Passwort- und Authentifizierungsstandards für Admin-Konten
Cyber Essentials verlangt, dass Administratorkonten durch eine starke Authentifizierung geschützt werden. Bei Passwörtern bedeutet dies in der Regel eine 14-stellige Passphrase, die einzigartig ist und nicht an anderer Stelle wiederverwendet wird. Passwörter müssen geändert werden, wenn sie kompromittiert wurden oder wenn der Benutzer das Unternehmen verlässt. Darüber hinaus ist die Multi-Faktor-Authentifizierung (MFA) zwar für alle internetzugänglichen Dienste verpflichtend, das NCSC empfiehlt MFA jedoch auch für Administratorkonten. In der Praxis erwartet Ihr zertifizierter Prüfer, dass MFA auf Administratorkonten angewendet wird, wo immer dies möglich ist – insbesondere wenn diese auf Cloud-Portale oder Fernzugriffstools zugreifen können. Stellen Sie für lokale Administratorkonten mindestens sicher, dass sie ein langes, komplexes Passwort haben, und speichern Sie diese sicher mit einem Passwortmanager oder Windows LAPS. Vermeiden Sie vorhersehbare Passwörter wie „admin123“ oder die Verwendung desselben Passworts auf mehreren Rechnern.
Admin-Kontrollen in der Praxis implementieren
Um die Cyber Essentials-Anforderungen an Administratorkonten zu erfüllen, beginnen Sie mit einer Prüfung aller vorhandenen Konten, um festzustellen, wer Administratorrechte besitzt. Erstellen Sie anschließend für jede Person, die diese Rechte tatsächlich benötigt, ein separates Administratorkonto. Entfernen Sie Administratorrechte von Standardbenutzerkonten und deaktivieren Sie das standardmäßig integrierte Administratorkonto, wo immer möglich. Implementieren Sie in Windows-Umgebungen die Local Administrator Password Solution (LAPS), damit jede Maschine über ein eindeutiges lokales Administratorkennwort verfügt, das regelmäßig rotiert. Legen Sie eine Richtlinie fest, nach der Administratorkonten ausschließlich für Verwaltungsaufgaben genutzt werden dürfen – kein Surfen, keine E-Mails, keine sozialen Medien. Schulen Sie Ihre Mitarbeiter darin, warum dies wichtig ist und wie sie ordnungsgemäß zwischen Konten wechseln. Dokumentieren Sie Ihre Richtlinie abschließend klar; Ihr Prüfer wird Nachweise für diese Kontrollen verlangen. Führen Sie daher eine Liste der Administratoren samt Begründung.
Häufige Fallstricke, die zum Scheitern der Cyber-Essentials-Bewertung führen
Viele britische Unternehmen fallen bei ihrer Cyber-Essentials-Bewertung aufgrund vermeidbarer Fehler bei Administratorkonten durch. Der häufigste Fehler ist die Nutzung desselben Kontos für Verwaltungs- und Alltagsaufgaben, was gegen die Trennungspflicht verstößt. Ein weiteres häufiges Problem ist die gemeinsame Nutzung von Admin-Passwörtern durch Mitarbeiter, was die Verantwortlichkeit untergräbt und nicht zulässig ist. Auch das Vergessen, das integrierte Administratorkonto zu deaktivieren oder lokale Admin-Passwörter auf Arbeitsstationen leer zu lassen, ist ein Warnsignal. Darüber hinaus ist die fehlende Anwendung von MFA auf Administratorkonten für Cloud-Dienste wie Microsoft 365 ein weiterer Verstoß. Schließlich können fehlende Dokumentation Ihrer Admin-Konto-Richtlinien oder das Unterlassen regelmäßiger Benutzerzugriffsüberprüfungen zum Scheitern führen. Bereiten Sie sich vor, indem Sie eine Selbstbewertung durchführen, unnötige Administratorrechte entfernen und sicherstellen, dass Ihre Administratorkonten vor der Einreichung vollständig konform sind.
FAQ
Nicht jeder Benutzer. Nur Mitarbeiter, die regelmäßig administrative Aufgaben ausführen, sollten ein Administratorkonto haben. Für andere ist ein Standardbenutzerkonto ausreichend und sogar erforderlich. Wenn ein Benutzer vorübergehend Administratorzugriff benötigt, sollte dieser über eine separate Sitzung mit erhöhten Rechten gewährt werden – nicht durch die Vergabe dauerhafter Administratorrechte an ihr Standardkonto.